Tutor LMS v4.2.0 发布，REST API 改用令牌认证并优化加载性能

今天，我们正式发布 Tutor LMS v4.2.0，重点是让 REST API 更安全、更快速、更可靠。

本次更新的核心是一套重新设计的身份验证流程，配备个性化访问令牌和完备的角色感知授权机制。我们还提升了平台关键区域的加载性能。这是 Tutor LMS 历史上最重要的一次 REST API 更新。

除了这些安全改进，我们还优化了 WordPress 管理后台中的课程列表加载速度，并改进了 Analytics 数据导出流程。该版本还包含整个平台的一系列修复与改进。

下面详细看看有哪些新变化，以及更新前需要了解的事项。

Tutor LMS v4.2.0 概览

• 用于 REST API 安全身份验证的个性化访问令牌和刷新令牌
• 基于用户角色与权限的端点级授权
• 在所有 REST API 路由中严格执行 API 密钥权限
• 加强对课程内容和测验答案的保护
• 加快管理后台中的课程列表加载速度，并优化 Analytics 导出
• 整个平台的多项可靠性和安全性修复

要查看完整变更日志，请查阅 Tutor LMS v4.2.0 发行说明。

安全的 REST API 身份验证

Tutor LMS v4.2.0 最大的变化是重新设计的 REST API 身份验证系统。此前，应用程序在每次请求中使用 API 密钥和密钥口令进行 Basic Auth。从 4.2.0 版本起，将不再支持这种身份验证方式。

新系统将应用程序权限与用户身份分离。API 凭据用于标识应用程序并定义其权限级别，而访问令牌用于标识发起请求的最终用户。这样，Tutor LMS 就能在返回数据或执行操作前，同时检查应用程序权限和用户访问权限。

新流程如下：

1. 生成 API 密钥：选择权限级别：Read、Write、Delete 或 All。
2. 一次性完成身份验证：将 API 密钥和密钥口令与最终用户的凭据一并发送。
3. 获取两个令牌：你会获得一个访问令牌和一个刷新令牌。
4. 使用访问令牌：在后续每个请求中将其随请求发送。

访问令牌过期时，刷新令牌会为其续期。无需重新登录。

有关实现细节和端点要求，请查阅 Tutor LMS REST API 文档。

Tutor LMS 访问令牌和刷新令牌的有效期可按天配置。默认情况下，访问令牌有效期为 1 天，刷新令牌有效期为 30 天。如有需要，您可以在 WP Admin > Tutor LMS > Tools > REST API.  更新令牌有效期。

除了新的令牌系统，我们还全面加强了授权机制。例如：

• 每个 REST API 请求现在都会执行正确的角色与权限检查。
• 敏感的学习内容（包括课时、主题、公告和测验答案）需要有效的选课记录或相应的讲师/管理员权限。
• 在所有路由上严格执行 API 密钥权限。

这些变化显著提升了使用 Tutor LMS 构建移动应用、自定义仪表板、无头前端和第三方集成时的安全性。

eLearning 站点所有者的重要通知

更新到 Tutor LMS v4.2.0 后，您也必须更新支付网关插件。

这有助于保持兼容性，并确保结账流程按预期运行。请检查您使用的每个支付网关的最新版本，并相应地进行更新。

最新支付网关版本

• Stripe：v1.0.10
• Alipay：v1.0.1
• Mollie：v1.1.0
• Klarna：v1.0.2
• Paddle：v1.0.5
• Razorpay：v1.1.1
• Paystack：v1.0.2
• 2Checkout：v1.0.2
• Authorize.Net：v1.0.6

请将您网站上使用的支付网关插件更新至上述各自的版本。

性能改进

除了 REST API 更新外，Tutor LMS v4.2.0 还在多个关键领域提升了性能。例如：

• 更快的课程列表加载

我们优化了 WordPress 管理后台中的课程列表页面，以提升加载性能。这让管理员在使用其在线学习平台时，课程管理响应更加迅速。

• 优化的分析数据导出

Tutor LMS Pro 还改进了 Analytics 数据导出。导出流程已经过优化，可在生成报告和处理分析数据时提升性能。

其他改进和修复

Tutor LMS v4.2.0 还在整个平台中包含了一系列缺陷修复和优化。这些修复解决了测验、作业、订阅、结账、移动端导航等方面反馈的问题。

所有这些更新与新的安全控制和性能改进相辅相成，使此次版本更新对网站所有者和开发者都具有较高价值。

现有 API 集成的迁移说明

如果您已有使用 Tutor LMS REST API 的应用程序或集成，请注意以下事项：

• 不再支持在之前的请求流程中使用 API 密钥和密钥值进行基本身份验证。
• 现有集成必须采用新的基于令牌的身份验证流程。
• 应用程序应使用访问令牌进行经过身份验证的请求，并使用刷新令牌更新会话。
• 我们强烈建议在部署到生产环境之前审查您的集成，并全面测试更新后的身份验证流程。

有关完整的实施详情，请查阅 Tutor LMS REST API 文档。

更新至 Tutor LMS v4.2.0

Tutor LMS v4.2.0 通过个性化访问令牌、强制执行的 API 权限和更严格的授权检查，大幅提升了 REST API 的安全性。结合更快的课程列表加载速度、优化的 Analytics 导出以及众多修复，此次更新有助于开发者构建对 API 访问具有更强控制能力的集成。

更新至 Tutor LMS 4.2.0，即可获得最新改进。如果您维护现有的 REST API 集成，请在部署到生产环境之前检查新的身份验证流程并测试您的实现。